Europakommisjonen foreslår GDPR-lettelser for AI og sporing av informasjonskapsler

Integritetsgrupper advarer om at endringene kan svekke grunnleggende beskyttelse, mens Kommisjonen sier at de vil forenkle samsvar og støtte innovasjon.

EU ønsker å modernisere GDPR – men risikerer å svekke personvernet

Europakommisjonen forbereder en omfattende revisjon av personvernforordningen (GDPR) som kan endre hvordan bedrifter håndterer personopplysninger – fra sporing av informasjonskapsler til opplæring i kunstig intelligens. Forslaget, som forventes å bli presentert 19. november, har allerede skapt sterke reaksjoner fra personvernforkjempere som advarer om at det kan svekke EUs personvernrammeverk.

Ifølge et lekket utkast rapportert av den tyske organisasjonen Netzpolitik.org Kommisjonen planlegger å inkludere endringene i en ny “digital omnibuspakke”. Den vil blant annet fjerne kravet om at nettsteder må innhente uttrykkelig samtykke før de plasserer informasjonskapsler, samt tillate bruk av personopplysninger til AI-opplæring når det er berettiget av et selskaps “legitime interesse”.

Informasjonskapsler flyttes under GDPR – mindre samtykke kreves

Forslaget til en ny artikkel, 88a, som dekker “behandling av personopplysninger på og fra terminalutstyr”. Dette betyr i praksis at reguleringen av informasjonskapsler flyttes fra ePrivacy-direktivet til GDPR.

For tiden krever artikkel 5(3) i e-personverndirektivet uttrykkelig samtykke for alle ikke-essensielle informasjonskapsler. Kommisjonen mener at dette har skapt unødvendig kompleksitet og høyere samsvarskostnader. Det nye forslaget ville selskaper kan behandle data via informasjonskapsler basert på en liste over “lavrisikoformål” eller på juridisk grunnlag som legitim interesse – som betyr at sporing kan skje som standard, med mulighet for at brukere kan protestere i etterkant.

”Selv om samtykke er nødvendig for å sikre kontroll, er det ikke alltid det mest passende grunnlaget for behandling”, heter det i utkastet.

Personvernorganisasjoner mener imidlertid at dette risikerer å bli et tilbakeslag for europeisk databeskyttelse. Europeiske digitale rettigheter (EDRi) skrev i oktober:

“GDPR, e-personvern og KI-loven er ikke hindringer for innovasjon – de er grunnlaget for Europas menneskesentrerte digitale modell. Kommisjonen ser nå ut til å være i ferd med å svekke e-personvernbeskyttelsen.”

Unntak for medie- og AI-opplæring

Forslaget gjør et unntak for mediebransjen. Nyhetsorganisasjoner vil fortsatt kunne kreve samtykke for informasjonskapsler, med henvisning til behovet for å beskytte journalistikkens økonomiske grunnlag.

Samtidig får du Grønt lys for AI-trening. Utkastet foreslår at selskaper skal kunne trene, teste og validere AI-systemer med personopplysninger basert på legitim interesse – så lenge de implementerer sikkerhetstiltak som dataminimering, åpenhet og rett til å protestere. Kommisjonen nevner eksempler som å oppdage skjevheter eller forbedre nøyaktigheten til modeller.

Men personvernadvokater advarer om at denne endringen kan åpne døren for utbredt datautvinning uten samtykke, noe GDPR opprinnelig ble laget for å forhindre.

Begrensning av beskyttelse av sensitive data

Et av de mest kontroversielle elementene er den foreslåtte begrensningen av hva som regnes som sensitive personopplysninger i henhold til artikkel 9. Bare data som avslører direkte Sensitive egenskaper, som religion eller helse, ville bli dekket. Informasjon som kun er indikerer disse via analyse eller profilering ville ikke lenger ha det samme beskyttelse.

Kritikere sier at dette kan tillate selskaper å trekke konklusjoner om politiske meninger eller seksuell legning uten at denne informasjonen deles. beskyttet.

Det europeiske juridiske instituttet advarte i sin tilbakemelding 14. oktober:

“Forbedringer må ikke gå på bekostning av beskyttelsen av grunnleggende rettigheter.”

Hva skjer videre?

Hvis forslaget går gjennom, vil selskaper over hele EU bli spart for å måtte stole på omfattende samtykkesystemer for informasjonskapsler, og i stedet måtte dokumentere sitt juridiske grunnlag under legitim interesse. Personverngrupper har advart om at høringen var “ekskluderende” og fokusert på “bransjestemmer”.

Revisjonen kan dermed være et vendepunkt for Europas databeskyttelse – enten mot mer fleksibel regulering som favoriserer innovasjon, eller mot svekket personvern for millioner av brukere.